La empresa Microsoft lanzó una actualización de seguridad el martes que incluye parches para 97 vulnerabilidades (CVE), entre ellas un fallo cero día que se está explotando activamente en ataques de ransomware. La compañía identificó siete de los errores corregidos como de gravedad crítica, lo cual implica que las organizaciones deben priorizar su aplicación.
Zero-Day explotado por ransomware
El fallo cero día, rastreado como CVE-2023-28252 (7.8), es una vulnerabilidad de elevación de privilegios en el sistema de archivos de registro común de Windows (CLFS). Afecta a todas las versiones compatibles de Windows 10 y Windows Server. Es el segundo cero día de CLFS en los últimos meses, y da a los adversarios que ya tienen acceso al sistema una forma de obtener privilegios a nivel de sistema.
«Esta vulnerabilidad aprovecha el acceso existente al sistema para explotar activamente un dispositivo y es el resultado de la forma en que el controlador CLFS interactúa con los objetos de la memoria de un sistema», explica Gina Geisel, investigadora de seguridad de Automox. Para explotar el fallo, un atacante tendría que iniciar sesión en un sistema y luego ejecutar un binario malicioso para elevar privilegios.
Kaspersky afirmó que sus investigadores habían observado a un actor de amenazas que explotaba CVE-2023-28252 para distribuir el ransomware Nokoyawa en sistemas pertenecientes a pequeñas y medianas empresas de Norteamérica, Oriente Medio y Asia.
Un parche del pasado
Otro parche de la actualización de abril de Microsoft al que los investigadores recomiendan que las organizaciones presten atención es el CVE-2013-3900 (7.4), una vulnerabilidad de validación de firmas en la función WinVerifyTrust de Windows. Un actor de amenazas explotó recientemente el fallo en un ataque a la cadena de suministro de 3CX que dio lugar a malware que aterrizó en los sistemas pertenecientes a los usuarios del software de videoconferencia de la compañía.
Cuando Microsoft lanzó el parche en 2013, la compañía había decidido que fuera un parche opcional debido a la posibilidad de que la corrección causara problemas a algunas organizaciones. Con la actualización de seguridad de abril, Microsoft ha puesto el parche a disposición de más plataformas y ofrece más recomendaciones a las organizaciones sobre cómo abordar el problema.
Una oleada de vulnerabilidades RCE
Los investigadores identificaron dos de las vulnerabilidades críticas de la tanda de abril de acción inmediata. Una de ellas es CVE-2023-21554 (9.8), que afecta a la tecnología Microsoft Message Queuing (MSMQ) y ofrece a los atacantes una forma de obtener RCE enviando un paquete MSMQ especialmente diseñado a un servidor.
La vulnerabilidad afecta a los sistemas Windows 10, 11 y Server 2008-2022 que tienen activada la función de colas de mensajes en sus sistemas. Los administradores deben considerar la aplicación del parche de Microsoft para el problema lo antes posible, ya que la compañía ha señalado que los actores de amenazas son más propensos a explotar la vulnerabilidad.
En América Latina hay aproximadamente 5.533 IPs que tienen el puerto TCP/1801 (MSMQ) abierto a Internet.
Esta es sólo una de las dos vulnerabilidades críticas que afectan al sistema Windows Message Queuing y que Microsoft ha corregido esta semana. La otra es CVE-2023-28250 (9.8), una vulnerabilidad en Windows Pragmatic Multicast que también tiene una puntuación base de 9,8 y es potencialmente wormable.
«En este parche del martes, MSFT corrigió algunos fallos críticos, de los cuales recomendaríamos a las organizaciones que priorizaran el parcheado de las vulnerabilidades que están siendo explotadas activamente y que son susceptibles de convertirse en gusanos», afirmó Bharat Jogi, director de investigación de vulnerabilidades y amenazas de Qualys.
La otra vulnerabilidad crítica que necesita reparación inmediata es CVE-2023-28231 (8.8), un fallo RCE en el servicio DHCP Server. Microsoft ha evaluado el fallo como otro problema que los atacantes tienen más probabilidades de intentar aprovechar.
Para explotar el fallo, un atacante necesitaría acceso previo en una red. Pero una vez en ella, el adversario podría iniciar la ejecución remota de código en el servidor DHCP, según Kevin Breen, director de investigación de ciberamenazas de Immersive Labs.
Microsoft recomienda que los servicios DHCP no se instalen en los Controladores de Dominio, sin embargo, las organizaciones más pequeñas verán comúnmente DC y servicios DHCP co-ubicados. En este caso, el impacto podría ser mucho mayor. Los atacantes que tengan control sobre los servidores DHCP podrían causar estragos considerables en la red.